Security-Kennzahlen on .kais blog

Das Phishing-Blame-Game

Fri, 21 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Ich sehe simulierte Phishing-Mails, die auf das zielen, was Menschen bewegt: Gehaltsanpassung, Paketbenachrichtigung, Bitte der Geschäftsführung. Wer klickt, landet auf einer Seite mit rotem Balken, wird namentlich erfasst und zur Nachschulung eingeladen. Die Klickquote wandert als Fortschrittsbeleg ins Management-Reporting.

🎯 Was soll eigentlich erreicht werden?

Beschäftigte sollen Angriffe erkennen. ISO 27001:2022 fordert in A.6.3 Sicherheitsbewusstsein, und eine Simulation macht messbar, was eine Folienschulung nur behauptet.

Die fremde Gewichtung

Fri, 14 Aug 2026 07:35:00 +0200

🔍 Was beobachte ich?

Schwachstellen bekommen einen CVSS-Wert, Bedrohungen eine DREAD-Summe, Risiken eine Farbe in der Matrix. Danach streiten alle über die Zahl, nie über den Weg dorthin. Ich habe früher selbst nach Score sortiert und das für Priorisierung gehalten.

🎯 Was soll eigentlich erreicht werden?

Vergleichbarkeit. Aus vielen Einzelmerkmalen soll eine Reihenfolge werden, an der sich Aufwand, Budget und Termine festmachen lassen.

Goodhart's Falle

Fri, 24 Apr 2026 07:35:00 +0200

🔍 Was beobachte ich?

Security-Dashboards quellen über: Patch-Rate, offene Findings, Mean Time to Detect, Awareness-Klickrate. Ich frage in solchen Besprechungen manchmal: Welche Entscheidung würde sich ändern, wenn dieser Wert um 10 Prozent schlechter wäre? Die Antwort ist oft Schweigen.

🎯 Was soll eigentlich erreicht werden?

Messgrößen sollen Entscheidungen verbessern – besser priorisieren, besser investieren, echtes Risiko sichtbar machen. Douglas Hubbard definiert Messen als Reduktion von Unsicherheit durch Beobachtung: Die Zahl hilft, eine Entscheidung anders zu treffen.

Das eine Risikomaß

Wed, 11 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

Jedes Security-Dashboard zeigt Risiko-Scores. CVSS, Risk-Index, Risikorating – alles landet auf einer Skala. Die Ampel springt auf Rot, der Score überschreitet 7,5, also wird priorisiert. Wessen Abweichung von welchem Ziel dabei gemeint ist, fragt niemand.

🎯 Was soll eigentlich erreicht werden?

Risiken vergleichbar und priorisierbar machen. Entscheidungstragende sollen auf einen Blick sehen, was kritisch ist – und Investitionen dorthin lenken, wo der Handlungsbedarf am größten ist.

Die unmessbaren Versprechen

Fri, 06 Mar 2026 07:35:00 +0100

🔍 Was beobachte ich?

In vielen Notfallhandbüchern stehen sie: RTO von vier Stunden, RPO von einer Stunde. Präzise dokumentiert, sorgfältig abgestimmt, nie getestet. Diese Zielwerte entstammen der Business-Impact-Analyse – und dort sind sie geblieben. Ein Versprechen, das niemand einlösen muss, solange kein Ernstfall eintritt.

🎯 Was soll eigentlich erreicht werden?

RTO und RPO sind keine Kennzahlen für das Notfallhandbuch – sie sind operative Zusagen. ISO 22301 versteht sie als messbare Zielwerte, die Strategie, Infrastruktur und regelmäßige Tests voraussetzen.